Art. 14 Sicherung von Informationen bei der Übermittlung | RTS on ICT risk management framework | DORA

This article focuses on the protection of information in transit, requiring financial entities to develop and implement policies, procedures, protocols, and tools to preserve the availability, authenticity, integrity, and confidentiality of data as it moves across networks.

It sits within the broader set of data safeguarding obligations and connects directly to the data classification and ICT risk assessment processes established elsewhere in the regulation, as those results must form the basis of how these protections are designed.

Important points:

Develop, document, and implement policies and tools to protect information in transit, covering data confidentiality and integrity during network transmission, prevention and detection of data leakage, and confidentiality or non-disclosure arrangements with staff and third parties.
The design of these protections must be based on the results of the approved data classification and ICT risk assessment.
Confidentiality and non-disclosure arrangements must be implemented, documented, and regularly reviewed.

1. Die Finanzunternehmen entwickeln, dokumentieren und implementieren im Rahmen der Schutzvorkehrungen zur Wahrung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten Richtlinien, Verfahren, Protokolle und Tools zum Schutz von Informationen, die übermittelt werden. Die Finanzunternehmen gewährleisten insbesondere Folgendes:
  1. die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten während der Übermittlung über das Netzwerk und die Festlegung von Verfahren, um zu bewerten, ob diese Anforderungen eingehalten werden;
  2. die Verhinderung und Erkennung von Datenlecks und die sichere Übertragung von Informationen zwischen dem Finanzunternehmen und externen Parteien;
  3. die Implementierung, Dokumentation und regelmäßige Überprüfung der Anforderungen an Vertraulichkeits- oder Geheimhaltungsvereinbarungen, die dem Bedarf des Finanzunternehmens hinsichtlich des Schutzes von Informationen im Zusammenhang mit den Mitarbeitern des Finanzunternehmens und Dritten Rechnung tragen.
1. Die Finanzunternehmen konzipieren die Richtlinien, Protokolle und Tools zum Schutz von Informationen bei der Übermittlung nach Absatz 1 auf der Grundlage der Ergebnisse einer genehmigten Datenklassifizierung und der IKT-Risikobewertung.